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SYSTEME DE DECHIFFREMENT DE DONNEES A ACCES 

CONDITIONNEL 

La presente invention concerne un systeme de dechiffrement de donnees a 
acces conditionnel. 

5 De tels systemes sont notamment utilises dans le domaine de la television 
numerique a peage. Dans ce cas, le flux numerique de donnees transmis 
vers le televiseur est chiffre afin de pouvoir en controler ('utilisation et de 
definir des conditions pour une telle utilisation. Ce chiffrement est realise 
grace a des mots de controle (Control Words) qui sont changes a intervalle 

10 regulier (typiquement entre 5 et 30 secondes, bien que des intervalles 
nettement plus longs puissent etre utilises) afin de dissuader toute attaque 
visant a retrouver un tel mot de controle. 

Pour que le recepteur puisse dechiffrer le flux chiffre par ces mots de 
controle, ces derniers lui sont envoyes independamment du flux dans des 

15 messages de controle (ECM) chiffres par une cle propre au systeme de 
transmission entre un centre de gestion et un module de securite de I'unite 
d'utilisateur. En effet, les operations de securite sont effectuees dans un 
module de securite (SC) qui est generalement realise sous la forme d'une 
carte a puce, reputee inviolable. Ce module peut etre soit de type amovible 

20 soit directement integre au recepteur. 

Lors du dechiffrement d'un message de controle (ECM), il est verifie, dans 
le module de securite (SC), que le droit pour acceder au flux considere est 
present. Ce droit peut etre gere par des messages d'autorisation (EMM) 
qui chargent un tel droit dans le module de securite. D'autres possibilites 
25 sont egalement envisageables telles que I'envoi de cles de dechiffrement. 

Pour la suite de I'expose, on appellera "evenement" un contenu video, 
audio (par exemple MP3) ou donnees (programme de jeu par exemple) qui 
est chiffre selon la methode connue des mots de controle, chaque 
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evenement pouvant §tre chiffre par un ou plusieurs mots de controle, 
chacun ayant une duree de validite determinee. 

La comptabi lisation de I'utilisat ion de tels evenements est aujourd'hui 
basee sur le principe de I'abonnement, de I'achat d'evenements ou du 
5 paiement par unite de temps. 

L'abonnement permet de definir un droit associe a un ou des canaux de 
diffusion transmettant ces evenements et permet a I'utilisateur d'obtenir ces 
canaux en clair si le droit est present dans son module de securite. 

Parallelement, il est possible de definir des droits propres a un evenement, 
10 tel qu'un film ou un match de football. L'utilisateur peut acquerir ce droit 
(achat par exemple) et cet evenement sera specifiquement gere par ce 
droit. Cette methode est connue sous I'appellation "pay-per-view" (PPV). 

Pour ce qui concerne le paiement par unite de temps, le module de 
securite comprend un credit qui est debite en fonction de la consommation 

15 reelle de l'utilisateur. Ainsi par exemple, une unite sera debitee chaque 
minute a ce credit quel que soit le canal ou I'evenement regarde. II est 
possible selon les implementations techniques, de varier I'unite de 
comptabilisation, soit dans la duree, soit dans la valeur du temps alloue, 
voire en combinant ces deux parametres pour adapter la facturation au 

20 type d'evenement transmis. 

Un message de controle (ECM) ne contient pas uniquement le mot de 
controle, mais egalement les conditions pour que ce mot soit renvoye au 
recepteur/decodeur. Lors du dechiffrement des mots de contrdle, il sera 
verifie si un droit associe aux conditions d'acces enoncees dans le 
25 message est present dans le module de securite. 

Le mot de controle n'est retourne a I'unite d'utilisateur que lorsque la 
comparaison est positive. Ce mot de controle est contenu dans un 
message de controle ECM qui est chiffre par une cle de transmission. 



Pour que le droit soit present dans le module de securite, il est 
generalement charge dans ce module par un message d'autorisation 
(EMM) qui pour des raisons de securite, est generalement chiffre par une 
cle dlfferente dlte cle de droit (RK). 

Selon une forme connue de diffusion de television a peage, les trois 
elements suivants sont necessaires pour dechiffrer un evenement a un 
moment donne: 

- les donnees relatives a I'evenement chiffre par un ou une pluralite de 
mots de controle (CW), 

- le ou les messages de contrdle ECM contenant les mots de contrdle (CW) 
et les conditions d'acces (AC) 

- le droit correspondant stocke dans le module de securite permettant de 
verifier les dites conditions d'acces. 

Les systemes de dechiffrement du type decrit ci-dessus sont actuellement 
tous formes d'equipements relativement grands, lis sont relies a un 
dispositif d'exploitation ou de visualisation tel que par exemple une 
television au moyen d'un cable, lis ne sont pas prevus pour pouvoir etre 
deplaces facilement. II n'est done pas possible de deplacer son propre 
decodeur et de le raccorder simplement sur une autre television, et 
d'acquerir des droits ponctuels. De plus, dans les systemes actuels, 
relativement peu d'installations ont une ligne de retour permettant de 
communiquer depuis le decodeur vers un centre de gestion. Les 
installations qui ont une ligne de retour n'ont pas d'interface permettant de 
communiquer de facon conviviale avec ce centre de gestion. En effet, les 
lignes de retour sont prevues pour une communication entre le decodeur et 
le centre de gestion, mais pas entre I'utilisateur et ce centre. II est ainsi 
malaise d'acquerir des droits ponctuels de fagon rapide et simple. De plus, 
dans tous les systemes connus, les flux contenant les donnees, les 



messages de controle et les messages d'autorisation proviennent d'une 
source unique qui gere ses propres abonnements, sans pouvoir offrir une 
gamme d'abonnements de differentes sources. 

La presente invention se propose de pallier les inconvenients des 
systemes de I'art anterieur et de realiser un systeme qui puisse facilement 
etre deplace et utilise sur pratiquement n'importe quel dispositif 
d'exploitation adapte. De plus, un tel systeme simplifie la gestion des droits 
d'acces au niveau du centre de diffusion et offre une plus grande 
souplesse a i'utilisateur. 

Ces buts sont atteints par un systeme de d6chiffrement de donn6es a acces 
conditionnel, ce systeme mettant en oeuvre : 

• un centre de diffusion agence pour diffuser des donn6es chiffn§es par des 
mots de controle (cw), 

• au moins un centre de gestion agence pour diffuser des messages 
personnels (ECM, EMM) relatifs a la gestion des moyens d'acces aux 
donnees chiffrees, 

• un dispositif d'exploitation destine a rendre utilisables lesdites donnees 
chiffrees, et 

• un d§codeur agence pour dechiffrer au moins une partie des donnees 
chiffrees, place entre le centre de diffusion et le dispositif d'exploitation , 

caracteris§ en ce que 

• le decodeur est forme d'un module de reception et de dechiffrement 
des donnees chiffrees et d'un module de gestion des droits d'acces a 
ces donnees, ces modules etant physiquement distincts, le module 
de reception etant connecte au dispositif d'exploitation et le module 
de gestion etant agence pour communiquer avec le module de 
reception, 

• en ce que le module de gestion comporte un module de securite 
agence pour verifier le contenu des messages personnels (ECM, 




EMM) et pour permettre ou empecher le dechiffrement des mots de 
controle (cw) en fonction du contenu des messages personnels, 
• et en ce que le module de reception recoit les donnees chiffrees 
provenant du centre de diffusion via une premiere voie de 
5 communication, et le module de gestlon regoit les messages 

personnel (ECM, EMM) par le centre de gestion via une deuxieme 
voie de communication. 

La presente invention et ses avantages seront mieux compris en reference 
a la description de differents modes de realisation et aux dessins annexes, 
10 dans lesquels : 

• la figure 1 represente une vue d'ensemble d'un premier mode de 
realisation du systeme selon la presente invention; et 

• la figure 2 est une vue d'ensemble d'un deuxieme mode de realisation 
de I'invention. 

is En reference a ces figures, le systeme de I'invention comporte 
essentiellement un centre de diffusion 10 agence pour diffuser des 
donnees chiffrees, au moins un centre de gestion 1 1 agence pour diffuser 
des messages d'autorisation (EMM) et traiter la gestion de droits d'acces 
aux donnees chiffrees, un dispositif d'exploitation 12 destine a rendre 

20 utilisables, ces donnees chiffrees et un decodeur 1 3 agence pour dechiffrer 
au moins une partie des donnees chiffrees. 

Le premier centre 10 de diffusion de donnees chiffrees peut etre un 
dispositif classique par cable ou par satellite notamment. Ce centre emet 
des donnees sous forme chiffrees. La nature de ces donnees depend bien 
25 entendu de I'utilisation qui doit en etre faite. Dans la suite du texte, il est 
suppose que les donnees sont utilisees dans un systeme de television a 
acces conditionnel. Les donnees sont done formees d'un contenu video 
CT, e'est-a-dire des images et du son. D'autres donnees specifiques a 




('utilisation peuvent egalement etre indues, de fagon bien connue de 
I'homme du metier. Ces donnees, ou au moins une partie d'entre elles, 
sont chiffrees au moyen de mots de contrdle et sont notees cw(CT) sur les 
figures: 

5 Les mots de contrdle cw sont transmis, sous forme chiffree, par le centre 
de diffusion en meme temps que les donnees chiffrees. Selon une autre 
forme de realisation, ces mots de contrdle peuvent etre diffuses par le 
centre de gestion 11 du fait que I'encryption du message de contrdle, 
comprenant le mot de controle, est specifiquement gere selon un protocole 

10 propre a chaque centre de gestion. Dans une version simplifiee de gestion 
de I'acces conditionnel, le centre de gestion n'envoie pas de message 
d'autorisation (EMM), les seuls messages sont les messages de contrdle 
(ECM). Ces messages sont formes d'une maniere specifique pour chaque 
module de securite et comprennent le mot de controle cw, I'identifiant de 

is I'evenement desire et le numero du module de securite. Grace a la cle 
secrete de transmission, le module de securite decrypte le message et 
verifie s'il lui est destine. A cet effet, le module de securite dispose d'un 
numero unique d'identification UA. Dans I'affirmative, le mot de contrdle est 
envoye au module de reception pour dechiffrer les donnees. 

20 La verification que ce message personnel est bien destine a un module de 
securite donne peut se faire par I'utilisation de la cle propre a ce module. 
Cette variante peut mettre avantageusement a profit les systemes 
d'encryption par cle asymetrique. Le centre de gestion utilisant la cle 
publique du module de securite afin que lui seul puisse decrypter ce 

25 message grace a sa cle privee. 

Ce mode convient en particulier lorsque les mots de contr6le changent 
rarement, par exemple un mot de contr6le par evenement. 

L'appellation "message personnel" represente un message d'autorisation 
(EMM) dans le cas ou les messages de controle (ECM) sont non 



specifiques, ces messages personnels permettant I'acces aux donnees par 
le mise en memoire d'un droit. Dans le cas d'un systeme sans message 
d'autorisation (EMM), le message personnel est done un message de 
contrdle adresse uniquement a un module de securite. Le mot de controle 
est extralt de ce message et simplement envoye au module de reception 
sans que le module de securite doivent necessairement memoriser des 
donnees ou des droits. 

Le, ou plus generalement les centres de gestion 1 1 sont charges de gerer 
les droits d'acces aux donnees. lis peuvent chacun gerer des types de 
droits differents, notamment des abonnements, des acces ponctuels, des 
bouquets de programmes differents. Pour realiser ceci, ils diffusent 
egalement les messages d'autorisation (EMM) correspondants, a 
destination des decodeurs concemes. 

Le dispositif d'utilisation 12 est egalement bien entendu adapte aux 
donnees a transmettre. Dans le cas choisi de la television a acces 
conditionnel, le dispositif d'exploitation est un televiseur. 

Le decodeur 13 comporte un module de reception et de dechiffrement 14 
des donnees et un module de gestion 15 des droits d'acces a ces donnees. 
Le module de gestion des droits est realise de telle facon qu'il soit 
aisement portable. II peut judicieusement etre realise au moyen d'un 
telephone portable. Le module de gestion comporte egalement un module 
de securite 16. Dans le cas ou des operateurs differents ne souhaitent pas 
integrer leur securite sur un module commun, ou simplement pour 
augmenter la souplesse d'utilisation, il est possible de prevoir une 
connectique permettant soit de changer facilement de module de securite, 
soit d'en utiliser plusieurs a la fois. Ces modules peuvent etre realises sous 
la forme d'une carte a puce cooperant avec un lecteur appropri6 du module 
de gestion, ou sous une forme plus compacte permettant la mise en place 




de plusieurs modules de securite simultanement. Dans ce cas, chaque 
puce gere les autorisations provenant de Tun des centres de gestion. 

II est egalement possible de prevoir une carte ou un autre support 

comportant plusieurs puces, chacune d'elles gerant les autorisations 

5 provenant de Tun des centres de gestion. Un tel module de securite est 
illustre par la figure 2, sous la reference 16. 

Le module de gestion 15 comporte avantageusement un lecteur de carte a 
puce destine a etre utilise avec une carte de credit ou une carte a 
prepaiement 17. De cette facon, la gestion des paiements est assuree 
10 lorsqu'un evenement est commande. Ceci permet en outre d'utiliser le 
module de gestion comme porte-monnaie electronique. Une telle carte est 
illustree sous la reference 17 dans la figure 2. 

Selon un mode de realisation mettant en oeuvre plusieurs centres de 
gestion pour les donnees diffusees vers le module de reception, il est prevu 

is d'adjoindre aux dites donnees chiffrees des informations descriptives pour 
permettre a Tutilisateur de se connecter sur le centre de gestion approprie. 
Ces informations descriptives sont transmises depuis le module de 
reception vers le module de gestion et affichees sur ledit module. 
L'utilisateur peut effectuer son choix et initier une communication avec un 

20 centre, pour autant que son module de securite supporte les fonctions de 
securite exigees par ce centre de gestion. Ces informations descriptives, 
en plus de decrire le produit video ou audio, comprennent une adresse de 
type telephonique ou Internet. Cette adresse sera utilisee pour le dialogue 
en vue de I'envoi du message personnel permettant de recevoir les droits 

25 ou les cles necessaires a I'acces aux donnees chiffrees. 

Le module de reception et de dechiffrement 14 des donnees peut etre 
integre directement dans I'appareil de television 12. Dans ce cas, pour 
pouvoir lire des donnees chiffrees sur un tel televiseur, il suffit de disposer 
du module de gestion 15 et des droits correspondants a Pevenement 



souhaite. Cet evenement peut done etre visualise a partir de n'importe quel 
televiseur equipe de facon adequate. Ce mode de realisation est illustre 
schematiquement par la figure 2. Selon une autre forme de realisation 
avantageuse, il peut etre forme d'un boitier qui peut etre connecte a la 
television au moyen d'un cable de connexion ou directement par une sortie 
sur la television. Ceci permet d'utiliser de facon simple, la presente 
invention sur des televiseurs existants. 

Le systeme selon ['invention fonctionne de la maniere suivante : 

Comme mentionne precedemment, le contenu video CT est diffuse par le 
centre de diffusion 10 de donnees chiffrees. Simultanement, ce premier 
centre diffuse egalement les mots de controle cw qui ont ete utilises pour 
chiffrer les donnees. Lorsque I'on souhaite utiliser des donnees du systeme 
a acces conditionnel, par exemple, pour voir un evenement tel qu'un film 
ou un match de football par exemple, pour lequel I'acces est soumis a un 
droit, il est tout d'abord necessaire d'acquerir ce droit. Celui-ci peut etre 
donne par une carte a pre-paiement disposee dans le module de gestion 
15, ou il peut etre charge dans ce module grace aux moyens de 
communication entre le module et I'un des centres de gestion 11 de 
diffusion, qui gere les droits d'acces. 

Pour obtenir les messages d'autorisation EMM qui vont permettre le 
dechiffrement des mots de controle cw necessaire au dechiffrement des 
donnees et done a la visualisation de I'evenement, le module de reception 
13 etabli une communication avec I'un des centres de gestion. Comme 
mentionne precedemment, le module de reception peut etre forme d'un 
telephone portable. Dans ce cas, le contact est etabli en composant un 
numero de telephone correspondant au centre de diffusion. Le choix de 
I'evenement pour lequel on souhaite acquerir les droits se fait au moyen 
d'un "menu" preen registre, chaque choix du menu correspondant a un 
numero particulier sur le clavier du telephone portable. Le telechargement 




du message d'autorisation correspondant a I'evenement choisi se fait apres 
avoir presse une touche de validation sur le clavier du telephone. 

Le module de dechiffrement 14 est connecte au televiseur, par exemple sur 
une sortie de celle-ci ou directement integre dans le televiseur. 

5 Dans un premier mode de realisation, le module de reception 14 recoit, en 
provenance du premier dispositif de diffusion 10 , les donnees chiffrees 
cw(CT) au moyen de mots de controle ainsi que les mots de controle cw 
eux-memes. II recoit egalement les messages d'autorisation EMM 
provenant d'un des centres de gestion 11. Le module de reception 14 

10 transmet les mots de controle cw au module de gestion des droits. Cette 
transmission peut etre effectuee au moyen d'ondes infrarouge ou radio par 
exemple. Ce module de gestion des droits verifie qu'il a bien acquis les 
droits correspondants a I'evenement choisi. Si tel est le cas, les messages 
de controle ECM sont traites dans le module de securite de facon a en 

15 extraire les mots de contrfile cw. Ceux-ci sont ensuite transmis, a une 
frequence adequate correspondant a la frequence utilisee pour le 
chiffrement des donnees, au module de reception 14 qui les utilise alors 
pour dechiffrer les donnees et rendre ainsi visible I'evenement. 

Dans un deuxieme mode de realisation, illustre schematiquement par la 
20 figure 2, le flux contenant les donnees chiffrees, les messages de contrdle 
et les messages d'autorisation sont recus par le dispositif de gestion des 
droits 15. Ces flux sont traites comme precedemment et les donnees 
dechiffrees sont transmises en clair au dispositif de reception. 

Ce systeme permet de realiser un decodeur aisement transportable et qui 
25 peut etre utilise sur n'importe quel televiseur. Dans le cas ou le module de 
reception des donnees 14 est integre au televiseur, il suffit de disposer du 
module de gestion 15 pour avoir acces a un evenement. De cette fagon, 
les contraintes pour les utilisateurs sont supprimees. En outre, le fait 
d'utiliser des centres de gestion pour les messages d'autorisation, distincts 



du centre de diffusion des donnees augmente le choix offert a I'utilisateur 
et facilite I'emploi de systemes a acces conditionnel. 

Du fait que les mots de controle sont dechiffres dans le module de gestion 
et transmis vers ie module de reception, la communication entre ces deux 
modules sera de preference securisee. Pour cela, il existe differentes 
procedures d'appariement habituellement adaptees au couple forme par 
I'unite de securite et le decodeur. Dans notre cas, ces procedures sont 
appliquees entre le module de reception et le module de gestion. Un 
exemple de ce type d'appariement est decrit dans la demande WO 
02/052515. 

Pour garantir que I'utilisation des mots de controle ne soient pas 
dissemines vers d'autres modules de reception et de dechiffrement, et 
dans un schema a deux niveaux c'est-a-dire lorsque le message de 
controle et de type personnel, le centre de gestion peut requerir une cle de 
chiffrement propre au module de dechiffrement. Cette cle est directement 
codee dans le module de dechiffrement et est unique pour chaque module. 

Le centre de gestion applique, sur un mot de controle donne, une 
encryption propre a la cle unique du module de dechiffrement puis une 
encryption propre au systeme de telecommunication entre le centre de 
gestion et le module de securite au module de securite du module de 
gestion. Ainsi, si ce message etait intercepts par un module de securite 
falsifie, le mot de controle obtenu est inutilisable pour un autre module de 
dechiffrement car encore encrypte par la cle unique de ce module. 

Selon un mode de realisation, la liaison entre le module de gestion et le 
centre de gestion est une liaison point a point et securisee. II est des lors 
possible de transmettre des commandes en relation avec les images et 
evenements diffuses par le centre de diffusion. Cette fonction est utilisee 
pour placer des commandes via le module de gestion ou des reponses a 
des interrogations. 




Dans une forme d'application, les images diffusees vers le decodeur sont 
des images reelles provenant de jeux de casino tels que la roulette, le 
black jack et le possesseur d'un tel module de gestion peut d'une maniere 
"imeractive-^n eTrternps-reelTioueMa-ou-il-se-trouveT-Les-moyens-de-- 
securite mis en place pour I'acces conditionnel aux donnees telediffusees 
peuvent egalement etre utilisees pour ce type d'application. Dans ce type 
d'application, le casino est relie au centre de gestion pour determiner 
I'identite de la personne porteur du module de gestion, ou tout au moins 
que ce porteur est solvable. Le centre de gestion alloue un credit a ce 
porteur et communique cette information au casino. 




REVENDICATIONS 



1. Systeme de dechiffrement de donnees a acces conditionnel, ce 
systeme mettant en oeuvre : 

• un centre de diffusion (10) agence pour diffuser des donnees 
chiffrees par des mots de controle (cw),: 

• au moins un centre de gestion (11) agence pour diffuser des 
messages personnels (ECM, EMM) relatifs a la gestion des moyens 
d'acces aux donnees chiffrees, 

• un dispositif d'exploitation (12) destine a rendre utilisables lesdites 
donnees chiffrees, et 

• un decodeur (13) agence pour dechiffrer au moins une partie des 
donnees chiffrees, place entre le centre de diffusion (10) et le 
dispositif d'exploitation (12), 

caracterise en ce que 

• le decodeur (13) est forme d'un module de reception et de 
dechiffrement (14) des donnees chiffrees et d'un module de gestion 

(15) des droits d'acces a ces donnees, ces modules etant 
physiquement distincts, le module de reception (14) etant connecte 
au dispositif d'exploitation (12) et le module de gestion (15) etant 
agence pour communiquer avec le module de reception, 

• en ce que le module de gestion (15) comporte un module de securite 

(16) agence pour verifier le contenu des messages personnels 
(ECM, EMM) et pour permettre ou empecher le dechiffrement des 
mots de controle (cw) en fonction du contenu des messages 
personnels, 

• et en ce que le module de reception (14) recoit les donnees chiffrees 
provenant du centre de diffusion (10) via une premiere voie de 
communication, et le module de gestion (15) recoit les messages 



personnel (ECM, EMM) par le centre de gestion (11) via une 
deuxieme voie de communication. 



2. Systeme de dechiffrement de donnees selon la revendication 1 , 

caracterise en ce que la communication entre le module de reception (14) 
et le module de gestion (15) est une communication par ondes. 

3. Systeme de dechiffrement de donnees selon la revendication 1, 
caracterise en ce que le module de gestion (15) des droits est un telephone 
portable. 

4. Systeme selon les revendications 1 a 3, caracterise en ce que le 
centre de diffusion (10) est agence pour diffuser des messages de contrdle 
(ECM) comprenant les mots de controle (cw), et en ce que le message 
personnel diffuse par le centre de gestion (11) correspond a un message 
d'autorisation (EMM). 

5. Systeme selon les revendications 1 a 3, caracterise en ce que le 
centre de gestion (11) est agence pour diffuser des messages personnels 
comprenant les mots de controle (cw), le module de securite (16) du 
module de gestion (15) disposant des moyens pour determiner si ce 
message lui est destine et de moyens pour transmettre ce mot de controle 
au module de reception (14). 

6. Systeme selon la revendication 5, caracterise en ce que le module 
de reception et dechiffrement (14) comprend une cle unique de decryption 
appliquee au mot de controle (cw), cette cle servant a encrypter les mots 
de controle au centre gestion (11) avant leur transmission vers le module 
de gestion (15). 

7. Systeme de dechiffrement de donnees selon les revendications 1 a 
6, le centre de diffusion (10) etant agence pour transmettre des 
informations descriptives des donnees chiffrees, caracterise en ce que ces 
donnees contiennent des indications necessaires a I'etablissement d'une 




communication avec le centre de gestion (11) en charge de I'autorisation 
de ces donnees, et sont transmises au module de gestion (15), ce dernier 
etant agence pour etablir une communication avec le centre de gestion 
(11) concerne pour Pobtention du message personnel. 

8. Systeme de dechiffrement de donnees selon Tune des 
revendications precedentes, caracterise en ce que le module de reception 

(14) est integre dans le dispositif d'exploitation (12). 

9. Systeme de dechiffrement de donnees selon Tune des 
revendications precedentes, caracterise en ce que le module de gestion 

(15) comprend des moyens pour etablir une cle d'appariement avec le 
module de reception (14), cette cle etant destinee a encrypter et decrypter 
au moins les mots de controle (cw) transmis du module de gestion (15) 
vers le module de reception (14). 




ABREGE 

La presente invention concerne un systeme de dechiffrement de donnees a 
acces conditionnel, en particulier utilise dans le domaine de la television 
5 humenque~a p6age. ~ 

Ce systeme comporte un centre de diffusion (10) agence pour diffuser des 
donnees chiffrees par des mots de controle (cw) f au moins un centre de gestion 
(11) agenc6 pour diffuser des messages personnels (ECM, EMM) relatifs aux 
droits d'acc§s aux donnees chiffrees et pour gerer ces droits d'acces, un dispositif 

10 d'exploitation (12) destine a rendre utilisables lesdites donnees chiffrees, et un 
decodeur (13) agenc6 pour dechiffrer au moins une partie des donnees chiffrees 
Ce decodeur est place entre le centre de diffusion (10) et le dispositif 
d'exploitation (12). Ce decodeur (13) est forme d'un module de reception (14) des 
donnees chiffrees et d'un module de gestion (15) des droits d'acces a ces 

15 donnees, Le module de reception (14) est connecte ou integre au dispositif 
d'exploitation (12) et le module de gestion (15) est agence pour communiquer 
avec le module de reception. Le module de gestion (1 5) comporte un module de 
securite (16) agence pour verifier le contenu des messages personnels (ECM, 
EMM) et pour permettre ou empecher le dechiffrement des mots de contrdle (cw) 

20 en fonction du contenu des messages personnels. Le module de reception re9oit 
les donnees chiffrees provenant du centre de diffusion (10) et le module de 
gestion regoit les messages d'autorisation (EMM) du centre de gestion (11). 
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